AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

ソリューションアーキテクト – アソシエイト

正解 B問題

1 2 3 4

次の問題

問題文と選択肢

ある企業は、データベースのアクセス認証情報をセキュアに保管する必要があります。また、この認証情報は45日ごとに自動で更新され、アプリケーションが常に最新の認証情報を取得できる仕組みが求められています。さらに、監査要件として認証情報へのアクセスログも記録する必要があります。この要件を満たすために最も適切なソリューションはどれですか。

AWS Systems Manager Parameter Store の SecureString パラメータを使用し、Amazon EventBridge のスケジュールで定期的にパラメータを更新する
AWS Secrets Manager を使用して認証情報を保管し、自動ローテーション機能を有効化する
AWS Key Management Service (AWS KMS) で認証情報を暗号化し、Amazon S3 バケットに保存して定期的に更新する
AWS CloudHSM でマスターキーを管理し、Amazon DynamoDB に暗号化された認証情報を保存する

解説頻出度★★★★★

この問題は、「セキュアな保管 × 45 日ごとの自動ローテーション × アプリが常に最新値を取得 × アクセスの監査ログ」という 4 要件を標準機能だけで満たすサービスを選ぶ問題。DB 認証情報のローテーションが組み込み済みの AWS Secrets Managerが唯一の解

A. AWS Systems Manager Parameter Store の SecureString パラメータを使用し、Amazon EventBridge のスケジュールで定期的にパラメータを更新する

Parameter Store の SecureString は KMS で暗号化して値を保管でき、「セキュアな保管」だけなら要件を満たします（しかも Secrets Manager より安価）。
しかしデータベース認証情報の自動ローテーション機能が組み込まれていません。EventBridge のスケジュールで起動できるのは処理のトリガーだけで、「新しいパスワードの生成 → DB 側への反映 → パラメータの更新」というロジックはLambda ですべて自作・保守することになります。
標準機能で完結する Secrets Manager と比べ運用負荷が明確に高く、「最も適切」とは言えません。

正解

B. AWS Secrets Manager を使用して認証情報を保管し、自動ローテーション機能を有効化する

AWS Secrets Manager はデータベース認証情報や API キーなどのシークレット管理に特化したマネージドサービスです。
自動ローテーションが組み込みで、ローテーション間隔を45 日のように日数で指定でき、Amazon RDS などに対しては用意されたローテーション用 Lambda がDB 側のパスワード変更まで自動実行します。
アプリケーションは GetSecretValue API で常に最新の認証情報を取得でき、シークレットへのアクセスは AWS CloudTrail に自動記録されるため監査要件も満たします。4 要件すべてを標準機能でカバーする唯一の選択肢で、これが正解です。

C. AWS Key Management Service (AWS KMS) で認証情報を暗号化し、Amazon S3 バケットに保存して定期的に更新する

AWS KMS は暗号鍵の生成・管理を行うサービスであり、認証情報そのものを保管・配布する仕組みではありません。
暗号化して S3 に置く構成では、ローテーション処理・取得用の API・アクセス制御をすべて自前で構築する必要があります。
「45 日ごとの自動更新」に相当する標準機能も存在せず、要件に対して大きく遠回りです。

D. AWS CloudHSM でマスターキーを管理し、Amazon DynamoDB に暗号化された認証情報を保存する

AWS CloudHSM は専有のハードウェアセキュリティモジュール (HSM) を提供し、厳格なコンプライアンス要件下での鍵管理に用いるサービスです。
KMS と同様にシークレットの保管・自動ローテーション機能は提供しないため、DynamoDB と組み合わせてもローテーションは自作となります。
コストも運用負荷も高く、本問の要件に対しては過剰かつ的外れです。

これだけ覚える（記憶フック）
「自動ローテーション」と書かれたら Secrets Manager。Parameter Store は保管はできても「回す」機能がない。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
データベースのアクセス認証情報をセキュアに保管する	保管だけなら Secrets Manager と Parameter Store の SecureString の両方が候補に残る →選択肢（A・B）は候補
45 日ごとに自動で更新（ローテーション）される	組み込みの自動ローテーションを持つのは Secrets Manager だけ。Parameter Store は Lambda で自作が必要 →選択肢（A）を消す
アプリケーションが常に最新の認証情報を取得できる	Secrets Manager は GetSecretValue API が常に最新バージョンを返し、ローテーションと整合が取れる →選択肢（B）は候補
監査要件として認証情報へのアクセスログを記録する	Secrets Manager へのアクセスは AWS CloudTrail に自動記録され、追加実装が不要 →選択肢（B）が正解
KMS / CloudHSM は何をするサービスか	どちらも「鍵」を管理するサービスであり、シークレット（値）の保管・ローテーション基盤ではない →選択肢（C・D）を消す

ひっかけポイント

Parameter Store の SecureString は「暗号化して保管」まではできるため一見正しく見える。A と B を分ける決め手は自動ローテーションが組み込みかどうかのただ一点
選択肢 A の「EventBridge のスケジュールで定期的に更新する」は起動の仕組みを言っているだけ。パスワード生成・DB 側への反映といったローテーションの中身は自作という事実が隠れている
KMS は「鍵」、Secrets Manager は「シークレットの値」と役割を切り分けて覚える。KMS は Secrets Manager の裏側で暗号化に使われる関係であり、KMS 単体で置き換えられるものではない
CloudHSM は専有 HSM が明示的に要件（FIPS 140-2 レベル 3 等）のときだけ登場する。「セキュア＝CloudHSM」と短絡すると誤答になる
コストだけを見れば Parameter Store が有利だが、本問の判断軸は自動ローテーションと監査ログ。「コストを最小化」とは一言も書かれていない点に注意

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「ローテーションは不要。設定値を安くセキュアに保管したいだけ」	Parameter Store（SecureString）が正解軸に。コスト面で Secrets Manager に勝る。
「専有 HSM・FIPS 140-2 レベル 3 のコンプライアンス要件がある」	AWS CloudHSM が正解に浮上する。
「Amazon RDS へパスワード自体を管理せずに接続したい」	RDS の IAM データベース認証（一時トークンでの接続）が正解軸に。
「複数リージョンのアプリから同じ認証情報を参照したい」	Secrets Manager のマルチリージョンレプリケーションが正解軸に。
「Lambda から低レイテンシーかつ低コストでシークレットを取得したい」	Secrets Manager の Lambda 拡張機能（キャッシュ）の利用が論点になる。

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. AWS Systems Manager Parameter Store の SecureString パラメータを使用し、Amazon EventBridge のスケジュールで定期的にパラメータを更新する

B. AWS Secrets Manager を使用して認証情報を保管し、自動ローテーション機能を有効化する

C. AWS Key Management Service (AWS KMS) で認証情報を暗号化し、Amazon S3 バケットに保存して定期的に更新する

D. AWS CloudHSM でマスターキーを管理し、Amazon DynamoDB に暗号化された認証情報を保存する

次の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報